¿Qué datos puede recopilar un minijuego — y qué te multa?
La privacidad es la cuenta que llega tras los usuarios ya idos. Un minijuego que acapara datos en silencio, o peor, los filtra, no recibe aviso — recibe una carta del regulador con un número. Las reglas no son misteriosas; solo son más estrictas que la mayoría de listas de lanzamiento. Veamos qué puedes recopilar y qué te multa de verdad.
Q: ¿Qué datos puede recopilar legítimamente un minijuego?
Los que el juego necesita para funcionar: lo básico de cuenta si hay cuentas, eventos de juego para balancear, y registros de pago que el procesador ya tiene. Donde los equipos se descuidan es apilando SDKs de terceros que recogen IDs de dispositivo, ubicación y contactos "por si acaso". Recoge lo que la función usa, y nada que no. Cuanto menos guardas, menos defiendes.
Q: ¿Qué exigen GDPR y CCPA para niños?
Aquí es donde los juegos se queman. Si tu audiencia tiende a menores de 13 (o 16 en partes de la UE), estás en territorio de niño designado: sin anuncios conductuales, sin perfilado, y a menudo el consentimiento de un padre antes de recopilar casi nada. COPPA en EE.UU. y las provisiones infantiles del GDPR son implacables aquí — la defensa de "no sabíamos que eran niños" no sobrevive al regulador.
Q: ¿Cómo manejas la transferencia transfronteriza de datos?
Si recopilas en la UE y procesas en otro lado, necesitas un mecanismo de transferencia legal — Cláusulas Contractuales Estándar o una decisión de adecuación, no una esperanza. Un runtime o host que ya opera transfronterizo puede manejarlo por ti, pero la obligación de documentar sigue siendo tuya. La trampa es asumir que "la nube" es un lugar; es un contrato, y el contrato debe decir lo correcto.
Q: ¿Pueden los SDK de analítica volverse un pasivo?
Fácilmente. Una herramienta de analítica aparentemente benigna que manda datos a un proveedor que no auditaste, o que agarra identificadores en silencio, convierte tu juego en el eslabón débil. Audita cada SDK como auditarías a un contratista: qué envía, a dónde va, puedes apagarlo. El SDK que "solo rastrea retención" ha causado más multas que cualquier función de juego.
Q: Si algo sale mal, ¿qué mínimo debes hacer?
Dos cosas, rápido: notificar y frenar la sangría. La mayoría de regímenes exige notificación de brecha en una ventana fija — a menudo 72 horas bajo GDPR — y te juzgan menos por la brecha que por el caos después. Ten un plan antes del lanzamiento: quién notifica, qué dices, cómo contienes. Un equipo que responde limpio sobrevive a una brecha; uno que la esconde recibe la multa y el titular.
| Pregunta de datos | Defecto seguro | Qué te multa |
|---|---|---|
| Qué recopilar | solo lo que usa la función | acaparar "por si acaso" |
| Datos de niños | sin perfilado, consigue consentimiento | anuncios conductuales a menores |
| Transfronterizo | SCC o adecuación | asumir que la nube es local |
| SDK de terceros | audita qué envían | capturas silenciosas de IDs |
| Tras una brecha | notifica + contén rápido | esconde y espera |
